Eine neue Workload verwendet eine Amazon RDS for MySQL Multi-AZ-Datenbank. Das Unternehmen verlangt, dass alle ruhenden Daten verschlüsselt und die Schlüssel jährlich rotiert werden. Welche Konfiguration erfüllt diese Anforderungen?

Die korrekte Option erfüllt beide Anforderungen: Datenverschlüsselung im Ruhezustand und jährliche Schlüsselrotation. Wenn Sie einen kundenverwalteten AWS KMS-Schlüssel (CMK) erstellen und die RDS-Verschlüsselung bei der Datenbankerstellung damit aktivieren, werden alle Daten im Ruhezustand verschlüsselt. Die automatische Schlüsselrotation für CMKs in KMS rotiert den Schlüsselinhalt standardmäßig jährlich, was die Anforderung erfüllt. Transparent Data Encryption (TDE) wird von Amazon RDS for MySQL nicht unterstützt. Die Verwendung eines von AWS verwalteten Schlüssels für RDS verschlüsselt zwar die Daten, aber diese Schlüssel können nicht vom Kunden rotiert werden. Die Aktivierung der Verschlüsselung auf EBS-Volumes mit einem CMK ist nicht ausreichend, da die RDS-Verschlüsselung direkt auf der Datenbankinstanz konfiguriert werden muss, um alle Datenbankdaten zu schützen.